FICHE CVE

CVE-2026-41354

Publiée le 2026-04-23 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les versions d'OpenClaw antérieures à 2026.4.2 sont affectées par une faille dans la manière dont les messages de webhook Zalo sont dédoublonnés. Un attaquant non authentifié disposant d'un accès réseau peut envoyer des messages spécialement conçus qui entrent en collision avec des messages légitimes, amenant le bot à ignorer et supprimer silencieusement des messages valides provenant d'autres utilisateurs ou conversations. Bien que cela perturbe les flux de travail du bot, cette attaque est difficile à réaliser car elle nécessite un timing précis et des collisions de messages spécifiques.

CVSS 4.06.3 MOYENNE

Type de faiblesse

CWE-706

Publiée2026-04-23

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueÉlevée

Prérequis d'attaqueAucun

Privilèges requisAucun

Interaction utilisateurAucune

Confidentialité (système vulnérable)Aucune

Intégrité (système vulnérable)Aucune

Disponibilité (système vulnérable)Faible

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

OpenClaw before 2026.4.2 contains an insufficient scope vulnerability in Zalo webhook replay dedupe keys that allows legitimate events from different conversations or senders to collide. Attackers can exploit weak deduplication scoping to cause silent message suppression and disrupt bot workflows across chat sessions.